Inżynieria społeczna wobec agentów AI: nowa odsłona BEC w 2026 roku

securitybeztabu.pl 11 godzin temu

Wprowadzenie do problemu / definicja

Business Email Compromise, czyli BEC, od lat pozostaje jednym z najdroższych typów oszustw wymierzonych w organizacje. W 2026 roku zagrożenie wchodzi jednak w nową fazę: obok pracowników celem ataków stają się agenci AI zintegrowani z procesami biznesowymi, aplikacjami oraz systemami finansowymi.

Jeżeli agent AI ma możliwość wykonywania działań operacyjnych, napastnik może próbować skłonić go do przeprowadzenia formalnie dozwolonej, ale szkodliwej operacji. To oznacza, iż klasyczna socjotechnika przestaje dotyczyć wyłącznie ludzi i zaczyna obejmować także systemy zdolne do działania w imieniu firmy.

W skrócie

Rosnąca liczba agentów AI podłączonych do narzędzi firmowych, interfejsów API i obiegów pracy tworzy nową powierzchnię ataku. Zamiast przekonywać pracownika do zmiany rachunku dostawcy czy zatwierdzenia przelewu, cyberprzestępca może manipulować agentem dzięki prompt injection lub złośliwej treści ukrytej w wiadomości e-mail, dokumencie albo stronie internetowej.

celem ataku może być nie tylko wyciek danych, ale też wykonanie szkodliwej akcji biznesowej,
agent AI może działać zgodnie z posiadanymi uprawnieniami, ale wbrew intencji organizacji,
największe ryzyko dotyczy środowisk zintegrowanych z finansami, ERP, CRM i automatyzacją procesów.

Kontekst / historia

Klasyczny BEC opierał się na manipulacji pracownikiem posiadającym odpowiednie uprawnienia. Typowy scenariusz obejmował podszycie się pod dostawcę lub kadrę zarządzającą, aby skłonić ofiarę do zmiany danych płatniczych, przekierowania przelewu lub ujawnienia informacji.

Wraz z upowszechnieniem agentów AI model zagrożenia się zmienia. Coraz więcej organizacji zleca systemom opartym na dużych modelach językowych analizę dokumentów, obsługę zgłoszeń, podejmowanie działań w workflow oraz komunikację z systemami biznesowymi. W praktyce agent AI staje się nową tożsamością nie-ludzką, zdolną do wykonywania zadań operacyjnych w imieniu przedsiębiorstwa.

Dla zespołów bezpieczeństwa oznacza to przesunięcie punktu ciężkości z ochrony użytkownika końcowego na ochronę automatycznych mechanizmów decyzyjnych i wykonawczych. Dodatkowym problemem są integracje stron trzecich, połączenia OAuth, klucze API i konta usługowe, które zwiększają zasięg potencjalnego nadużycia.

Analiza techniczna

Najważniejszym mechanizmem ataku na agenta AI jest prompt injection. Polega on na umieszczeniu złośliwej instrukcji w danych wejściowych przetwarzanych przez model. W rezultacie agent może uznać taką treść za wiążące polecenie operacyjne, mimo iż powinna zostać potraktowana jedynie jako nieufne dane.

W praktyce atak może przyjmować kilka postaci:

bezpośredni prompt injection – złośliwa instrukcja trafia bezpośrednio do agenta w treści zapytania lub wiadomości,
pośredni prompt injection – polecenie zostaje ukryte w zewnętrznym źródle, takim jak dokument, CV, portal dostawcy, e-mail lub strona WWW,
nadużycie narzędzi i integracji – jeżeli agent ma dostęp do systemów płatności, danych lub repozytoriów plików, manipulacja może doprowadzić do wykonania działań mieszczących się w zakresie uprawnień, ale sprzecznych z interesem organizacji.

Istota problemu nie polega więc na obejściu uwierzytelnienia. Agent może być poprawnie zalogowany i działać zgodnie z przypisaną rolą. Zagrożenie pojawia się wtedy, gdy model nie potrafi odróżnić zaufanej instrukcji od nieautoryzowanej treści osadzonej w danych wejściowych.

To właśnie odróżnia ten typ zagrożenia od klasycznej socjotechniki. Człowiek bywa podatny na presję, pośpiech, autorytet lub strach. Agent AI nie reaguje emocjonalnie, ale może błędnie interpretować kontekst, kolejność poleceń i wiarygodność źródeł. Manipulacja dotyczy więc logiki interpretacji, a nie emocji.

Dodatkowym czynnikiem ryzyka pozostaje shadow AI, czyli niezatwierdzone narzędzia, autorskie integracje i samodzielnie wdrażani agenci działający poza formalnym nadzorem działu bezpieczeństwa. Tego typu środowiska utrudniają inwentaryzację, egzekwowanie polityk i monitorowanie nadużyć.

Konsekwencje / ryzyko

Skutki udanego ataku na agenta AI mogą być równie poważne jak w tradycyjnym BEC, a w części przypadków choćby bardziej niebezpieczne. Szczególnie groźne są sytuacje, w których organizacja utożsamia autoryzację techniczną z zasadnością biznesową wykonanej akcji.

przekierowanie płatności i zmiana danych dostawców,
wyciek danych wrażliwych oraz informacji biznesowych,
ujawnienie promptów systemowych i konfiguracji operacyjnej,
nadużycie uprawnień administracyjnych,
uzyskanie przyczółka do dalszej kompromitacji środowiska,
naruszenie integralności procesów automatyzacji i podejmowania decyzji.

W przypadku agentów AI samo posiadanie prawa do wykonania operacji nie oznacza jeszcze, iż działanie jest uzasadnione w danym kontekście. To fundamentalna różnica między kontrolą dostępu a kontrolą adekwatności działania.

Rekomendacje

Organizacje wdrażające agentów AI powinny traktować ich bezpieczeństwo jako odrębny obszar zarządzania tożsamościami, uprawnieniami i monitoringiem behawioralnym. Niezbędne jest połączenie klasycznych zasad cyberbezpieczeństwa z nowymi kontrolami specyficznymi dla modeli i automatyzacji.

Pełna inwentaryzacja agentów i integracji – warto prowadzić centralny rejestr wszystkich agentów, ich właścicieli, uprawnień, źródeł danych i narzędzi wykonawczych.
Zasada najmniejszych uprawnień – agent powinien mieć tylko taki dostęp, jaki jest niezbędny do realizacji ściśle określonego zadania.
Human-in-the-loop dla działań wysokiego ryzyka – zmiany danych dostawców, transfery środków, eksport dużych zbiorów danych i modyfikacje krytycznych konfiguracji powinny wymagać akceptacji człowieka.
Niezależne warstwy kontroli – organizacja nie może opierać bezpieczeństwa wyłącznie na samym agencie; potrzebne są zewnętrzne mechanizmy oceny zasadności akcji.
Monitoring kontekstowy i detekcja anomalii – należy obserwować źródła danych wejściowych, sekwencje poleceń, użycie narzędzi oraz nietypowe operacje wykonywane przez agenta.
Ochrona przed prompt injection – najważniejsze znaczenie mają separacja instrukcji systemowych od danych użytkownika, filtrowanie treści, walidacja źródeł i ograniczone zaufanie do danych zewnętrznych.
Regularne przeglądy uprawnień – zbędne klucze API, konta usługowe, połączenia OAuth i nieużywane integracje powinny być systematycznie usuwane.
Ćwiczenia tabletop i gotowość reagowania – zespoły bezpieczeństwa powinny ćwiczyć scenariusze, w których agent wykonuje poprawnie uwierzytelnioną, ale szkodliwą operację.

Podsumowanie

Agenci AI stają się nową klasą uprzywilejowanych podmiotów w środowisku przedsiębiorstwa. Wraz z rosnącą autonomią tych systemów pojawia się odmiana ryzyka przypominająca BEC, jednak oparta nie na manipulacji pracownikiem, ale na manipulacji sposobem interpretacji i wykonywania poleceń przez model.

Dla obrońców oznacza to konieczność rozszerzenia strategii ochrony tożsamości i procesów biznesowych o byty nie-ludzkie, ich uprawnienia, integracje oraz zachowanie w czasie rzeczywistym. Ochrona użytkowników przed phishingiem pozostaje ważna, ale w 2026 roku sama już nie wystarcza.